使用openssl自签发泛域名证书

使用openssl自签发泛域名证书

openssl自签发泛域名(通配符)证书

首先要有openssl工具,如果没有那么使用如下命令安装:

 [root@sre ~]# yum install -y openssl openssl-devel

修改openssl.cnf配置文件

具体修改如下

[root@sre ~]# vim /etc/pki/tls/openssl.cnf
[ req ]
………………
# 将如下配置的注释放开
req_extensions = v3_req # The extensions to add to a certificate request
 ………………
[ v3_req ]

# Extensions to add to a certificate request

basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
# 添加如下行
subjectAltName = @SubjectAlternativeName

# 同时增加如下信息
[SubjectAlternativeName]
DNS.1 = test.com
DNS.2 = *.test.com

说明:本次我们以 *.test.com 泛域名为例。

创建根证书

  • 创建CA私钥
[root@sre ~]# mkdir /root/ssl && cd /root/ssl
[root@sre ssl]# openssl genrsa -out CA.key 2048
  • 免交互式制作CA公钥、
[root@sre ssl]# openssl req -sha256 -new -x509 -days 36500 -key CA.key -out CA.crt -config /etc/pki/tls/openssl.cnf -subj "/C=CN/ST=JS/L=NanJing/O=other/OU=other/CN=sre/emailAddress=ca@test.com"

subj内容详解:

1 C             = Country Name (2 letter code)
2 ST            = State or Province Name (full name)
3 L             = Locality Name (eg, city) [Default City]
4 O             = Organization Name (eg, company) [Default Company Ltd]
5 OU            = Organizational Unit Name (eg, section)
6 CN            = Common Name (eg, your name or your server's hostname)
7 emailAddress  = Email Address

CA证书文件有:

[root@sre ssl]# ls -l
total 2
-rw-r--r-- 1 root root 1363 Apr  2 13:11 CA.crt
-rw-r--r-- 1 root root 1675 Apr  2 13:09 CA.key

自签发泛域名证书

  • 操作步骤为:

    生成域名私钥
    生成证书签发请求文件
    使用自签署的CA,生成域名公钥

  • 生成域名私钥
[root@sre ssl]# openssl genrsa -out server.key 2048
  • 免交互式生成证书签发请求文件
[root@sre ssl]# openssl genrsa -out server.key 2048 openssl req -new -sha256 -key server.key -out server.csr -config /etc/pki/tls/openssl.cnf -subj "/C=CN/ST=JS/L=NanJing/O=other/OU=other/CN=*.test.com/emailAddress=ca@test.com"

ps:

(1)、上面的Common Name 就是在这步填写 *.test.com ,表示的就是该证书支持泛域名,common name一定要在SubjectAlternativeName中包含
(2)、进行CA签名获取证书时,需要注意国家、省、单位需要与CA证书相同,否则会报异常
  • 使用自签署的CA,生成域名公钥【这里证书有效时间为100年】
[root@sre ssl]# openssl genrsa -out server.key 2048 openssl ca -in server.csr -md sha256 -days 36500 -out server.crt -cert CA.crt -keyfile CA.key -extensions v3_req -config /etc/pki/tls/openssl.cnf

可能出现的问题1:

1 Using configuration from /etc/pki/tls/openssl.cnf
2 /etc/pki/CA/index.txt: No such file or directory
3 unable to open '/etc/pki/CA/index.txt'
4 140652962035600:error:02001002:system library:fopen:No such file or directory:bss_file.c:402:fopen('/etc/pki/CA/index.txt','r')
5 140652962035600:error:20074002:BIO routines:FILE_CTRL:system lib:bss_file.c:404:

处理方法:创建该文件即可

[root@sre ssl]# openssl genrsa -out server.key 2048 touch /etc/pki/CA/index.txt

可能出现的问题2:

然后我们继续使用 【自签署的CA,签署server.crt】;结果又出现新问题

1 Using configuration from /etc/pki/tls/openssl.cnf
2 /etc/pki/CA/serial: No such file or directory
3 error while loading serial number
4 140087163742096:error:02001002:system library:fopen:No such file or directory:bss_file.c:402:fopen('/etc/pki/CA/serial','r')
5 140087163742096:error:20074002:BIO routines:FILE_CTRL:system lib:bss_file.c:404:

处理方法:使用如下命令即可,表示:用来跟踪最后一次颁发证书的序列号。

[root@sre ssl]# openssl genrsa -out server.key 2048 echo "01" > /etc/pki/CA/serial

之后我们再次执行 【自签署的CA,签署server.crt 】 就正常了。详情如下:

[root@sre ssl]# openssl genrsa -out server.key 2048 openssl ca -in server.csr -md sha256 -days 36500 -out server.crt -cert CA.crt -keyfile CA.key -extensions v3_req -config /etc/pki/tls/openssl.cnf

Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 1 (0x1)
        Validity
            Not Before: Apr  2 05:16:52 2022 GMT
            Not After : Mar  9 05:16:52 2122 GMT
        Subject:
            countryName               = CN
            stateOrProvinceName       = JS
            organizationName          = other
            organizationalUnitName    = other
            commonName                = *.test.com
            emailAddress              = ca@test.com
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            X509v3 Key Usage: 
                Digital Signature, Non Repudiation, Key Encipherment
            X509v3 Subject Alternative Name: 
                DNS:test.com, DNS:*.test.com
Certificate is to be certified until Mar  9 05:16:52 2122 GMT (36500 days)
Sign the certificate? [y/n]:y


1 out of 1 certificate requests certified, commit? [y/n] y  [输入Y]
Write out database with 1 new entries
Data Base Updated

说明:此时我们再看,/etc/pki/CA/index.txt/etc/pki/CA/serial 文件信息。如下:

[root@sre ssl]# cat /etc/pki/CA/index.txt
V    21220309051652Z        01    unknown    /C=CN/ST=JS/O=other/OU=other/CN=*.test.com/emailAddress=ca@test.com

[root@sre ssl]# cat /etc/pki/CA/serial
02

由上可知:域名签署信息已经保存到index.txt文件;并且证书序列serial文件已经更新【从01变为了02】。

PS:

  1. 同一个域名不能签署多次;由于签署了*.test.com,且已经被记录,因此不能再次被签署。除非删除该记录。
  2. 注意index.txt文件和serial文件的关系。serial文件内容为index.txt文件内容行数加1。
  • 查看证书信息
[root@sre ssl]#  openssl x509 -in server.crt -text
  • 验证签发证书是否有效
[root@sre ssl]#  openssl verify -CAfile CA.crt server.crt 
server.crt: OK
  • 此时的文件有:
[root@sre ssl]# ls -l
total 5
-rw-r--r-- 1 root root 1387 Oct  2 10:25 CA.crt
-rw-r--r-- 1 root root 1679 Oct  2 10:04 CA.key
-rw-r--r-- 1 root root 4364 Oct  2 11:42 server.crt
-rw-r--r-- 1 root root 1151 Oct  2 10:48 server.csr
-rw-r--r-- 1 root root 1679 Oct  2 10:44 server.key

客户端导入ca.crt 公钥

客户端导入ca.crt 公钥, 这样本地浏览器就不会显示这个是个不受信任的证书

参考: https://jingyan.baidu.com/article/ca41422fda393f5faf99ed0d.html

本文参考:

文章来源:https://www.cnaaa.net,转载请注明出处:https://www.cnaaa.net/archives/6866

(0)
杰斯的头像杰斯
上一篇 2023年1月31日 下午4:36
下一篇 2023年1月31日 下午4:36

相关推荐

  • Ceph集群日常使用命令

    一、Ceph 集群服务维护 之前文章说了一下ceph的安装,安装其实比较简单,但是后续维护起来我们需要知道常用的维护命令 如果我们机器上osd、mon、rgw等服务都安装在一个节点,可以通过下面的命令直接管理所有服务 ceph target allowing to start/stop all ceph*@.service instances at once…

    2023年4月19日
    58700
  • cobbler搭建

    什么是cobbler Cobbler是一个Linux系统安装的服务,可以通过网络启动(PXE)的方式来快速安装、重装物理服务器和虚拟机,同时还可以管理DHCP,DNS等。 Cobbler可以使用命令行方式管理,也提供了基于Web的界面管理工具(cobbler-web),还提供了API接口,可以方便二次开发使用。 Cobbler是较早前的kickstart的升…

    2022年11月26日
    71700
  • Testdisk 取消删除FAT文件

    此恢复示例将指导您逐步使用TestDisk从 FAT (FAT12/FAT16/FAT32) 和 VFAT 文件系统中恢复删除的文件。FAT 主要用于数码相机的存储卡和 USB 闪存盘。VFAT 主要存在于 Windows 下格式化的外部硬盘上。可以恢复已删除的文件。当文件被删除时,文件名被标记为已删除,数据区域被标记为未分配/空闲,但 TestDisk 可…

    2024年1月5日
    52700
  • Cisco交换机密码忘记重置

          原理:进入交换机底层,通过修改交换机原始配置文件名字,重启交换机后,交换机找不到原来配置文件情况下,就会加载默认系统文件(即:交换机出厂配置),以达到清除交换机密码的目的。 步骤一:用笔记本通过控制线连接到交换机com口,打开超级终端调试窗 步骤二:交换机重新上电,上电过程中,按住交换机正面”m…

    2024年6月18日
    63700
  • find命令排除某些目录或文件

    使用-prune开关。例如,如果要排除misc目录,只需将a添加-path ./misc -prune -o到您的find命令中: find . -path ./misc -prune -false -o -name ‘*.txt’ 这是带有多个目录的示例: find . -type d \( -path dir1 -o -path dir2 -o -pat…

    2023年6月16日
    90500

在线咨询: QQ交谈

邮件:712342017@qq.com

工作时间:周一至周五,8:30-17:30,节假日休息

关注微信